Pasáil IPsec ar ródaire baile: cad a dhéanann sé i ndáiríre

Is lamháltais seolta iad lasca pasála an ródaire do ghléas taobh thiar díobh, ní seirbhísí VPN. Ní chláraíonn siad an ródaire mar chliant, ní choinníonn siad dintiúirí agus ní chuireann siad gach gléas sa teach trí bhealach amach cianda. Is é a dhéanann siad ná cruth a chur ar an gcaoi a dtrasnaíonn prótacal amháin an aistriú seoltaí agus na scagairí. Nuair a bhíonn sé sin soiléir, bíonn an lasc éasca le tástáil agus éasca le fágáil múchta.

Cad a dhéanann an ródaire i ndáiríre

Seasann an ródaire idir cliant agus piara IPsec agus seolann sé paicéid nach raibh sé deartha riamh chun iad a thuiscint. Cuireann déantóirí an ghné i bhfeidhm ar a laghad ar thrí bhealach: cúntóir prótacail a leanann nó a athscríobhann staid; eisceacht scagaire a stopann ag caitheamh ESP; nó mód comhoiriúnachta dírithe ar chliaint níos sine. Is annamh a deir an lipéad sa chomhéadan gréasáin cé acu de na trí cinn atá agat. Ní dhéanfaidh ach nótaí an fhirmware nó gabháil paicéad é a rá.

Is féidir le cúntóir rudaí a dhéanamh níos measa freisin. Cuireann cúnamh a scríobhadh le haghaidh sreabhadh níos sine isteach ar chliant a láimhseálann an t-aistriú i gceart cheana féin. Nuair a oibríonn cliant nua-aimseartha agus an rogha múchta, is é an chumraíocht is fearr í a fhágáil múchta.

Ní thugann pasáil eochracha na bpiar don ródaire riamh. Feiceann sé na seoltaí agus na calafoirt sheachtracha fós, agus cuireann sé a pholasaí seolta féin i bhfeidhm orthu fós.

Cinneann NAT agus NAT-T an cosán

Níor tógadh IPsec chun maireachtáil tríd an aistriú seoltaí, mar sin chuir na caighdeáin imchlúdach leis. Cuimsíonn trasnú NAT ESP laistigh de UDP, rud a ligeann do ghnáththábla NAT an sreabhadh a iompar, agus aontaíonn an chaibidlíocht ar an aistriú sin le linn IKE (RFC 3948). Úsáideann IKE féin UDP 500, agus úsáideann an chonair chuimsithe UDP 4500 de ghnáth.

Sin é an fáth nach leor riail balla dóiteáin a cheadaíonn prótacal 50 amháin ar chonair aistrithe. Briseann blocáil 4500 an cás a bhfuil an t-imchlúdach ann dó, agus stopann blocáil 500 an chaibidlíocht sula gcruthaítear aon tollán. Tá an dá threo tábhachtach, toisc go gceadaíonn ródaire staid-fheasach an freagra de ghnáth ach tar éis dó an t-iarratas a fheiceáil. Ní hionann port a bhaint amach agus fíordheimhniú a chríochnú, ná trácht faoi chosaint a sheoladh.

Tá difríocht mhór idir na seachshocruithe níos sine, ionas go bhféadfadh treoir a scríobhadh dóibh dul amú. Nuair a thairgeann cliant an dá mhód, tástáil an ceann a dhéanann do phiara doiciméadú seachas an ceann a bhfuil níos mó torthaí cuardaigh aige.

Aimsigh an chéim a theipeann

Roinn an fhadhb ina caibidlíocht, fíordheimhniú, cosaint linbh agus seoladh inmheánach, agus ansin bailigh fianaise do chéim amháin ag an am. Ní chruthaíonn atosú a athraíonn an toradh go sealadach ach go raibh staid éigin i gceist.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Taispeánann an ghabháil an sroicheann an malartú an piara agus an dtagann freagraí ar ais, rud a scarann fadhb scagtha ó fhadhb dintiúirí. Taispeánann liosta an staid na comhcheangail slándála bunaithe, mar sin cuireann liosta folamh tar éis iarrachta in iúl caibidlíocht seachas ródú. Taispeánann liosta an pholasaí cé na roghnóirí atá suiteáilte, agus is ansin a eisiatar ceann scríbe lasmuigh den fholíonra. Léigh an dá aschur xfrm sula dtéann tú i dteagmháil leis an ródaire, mar go ndéanann siad cur síos ar a gcreideann an t-óstach seachas ar a gceadaíonn an ródaire.

Má fhágann na paicéid agus mura dtagann aon rud ar ais, bog an ghabháil go taobh WAN an ródaire. Aimsíonn comparáid idir an dá ghabháil an áit a gcaitear iad gan buille faoi thuairim.

Múch an rud nach bhfuil uait

Ní chruthaíonn ríomhaire glúine amháin atá ag obair go láimhseálann an ródaire roinnt cliant ag an am céanna. Cruthaíonn gach cliant a staid aistrithe féin agus a chaibidlíocht féin, agus ní leanann roinnt cúntóirí ach sreabhadh amháin. Tástáil líon na seisiún comhaimseartha a theastaíonn uait i ndáiríre, ó na líonraí a úsáideann tú i ndáiríre. Má theipeann ar an dara cliant agus an chéad cheann ag rath, sin an toradh, ní tollán luaineach.

Ná fág an rogha ar siúl ach amháin nuair a thaispeánann gabháil go bhfuil sí ag teastáil. Scríobh leagan an fhirmware in aice an toraidh, mar go n-athraíonn na hiompraíochtaí seo idir eisíocaíochtaí. Is é an sprioc tollán cliaint a d’fhíoraigh tú, ní lasc a chas tú air le dóchas.